Zweedse CERT laat organisaties websites sluiten na kritiek PHP-lek

Het Zweedse CERT-SE geeft de kritieke kwetsbaarheid in de programmeertaal PHP een score van 9,2 op de CVSS-schaal, die loopt tot 10. Die schaal drukt de ernst van beveiligingslekken uit. Dat wijst volgens CERT-SE en de Europese tegenhanger CERT-EU op een zeer ernstig risico. CERT-SE valt in Zweden onder de civiele noodhulpdienst MSB en behandelt IT-incidenten voor de Zweedse overheid en het bedrijfsleven. Volgens CERT-SE en CERT-EU is in PHP, die wereldwijd door miljoenen websites wordt gebruikt, woensdag een kritieke kwetsbaarheid aan het licht gekomen. Die kwetsbaarheid staat geregistreerd onder de nummers CVE-2026-109618 en CVE-2026-109619 en laat aanvallers zonder inloggegevens schadelijke code uitvoeren. De twee diensten adviseren organisaties die nog niet kunnen patchen om hun internet-gerichte PHP-diensten uit voorzorg offline te halen.

Het Nederlandse Nationaal Cyber Security Centrum (NCSC) adviseert de rijksoverheid in Nederland over digitale dreigingen. Het meldt zelf zijn eigen website tijdelijk offline te hebben gehaald. Ook meerdere andere organisaties, waaronder overheidsinstanties, deden dat. Een vergelijkbare sluiting van overheidswebsites gold woensdagmiddag ook voor Finland en Denemarken. Voor Nederlanders en Belgen die in Zweden wonen of er zaken doen, betekent dat concreet dat een overheidswebsite in meerdere landen rond de Oostzee tijdelijk niet of maar deels te bereiken kan zijn. Daar ging geen storing of hack aan vooraf: de beheerders nemen die maatregel uit voorzorg zelf. Een bezoeker van zo’n site hoeft zelf niets te doen of te installeren: de patch wordt aan de kant van de server aangebracht.

Volgens FRA (eigen melding) noemt Johan Ahlmark van die Zweedse signals intelligence-dienst het incident zelf zwaarder dan gebruikelijk. CERT-SE valt onder de FRA en verzorgt voor die dienst de afhandeling van IT-incidenten in Zweden. De FRA onderschept en analyseert normaal gesproken signalen voor de Zweedse defensie en veiligheidsdiensten. Bij een it-crisis als deze treedt de FRA naar buiten via CERT-SE. Ook meldt Karlstads Universitet (eigen melding) dat de instelling delen van zijn website offline heeft gehaald. Dat gebeurde naar aanleiding van het wereldwijde it-alarm over de kwetsbaarheid. Een woordvoerder van de universiteit noemt dit zelf een veiligheidsmaatregel, in afwachting van een patch. De universiteit in Karlstad ligt in de Zweedse regio Värmland en trekt jaarlijks ook internationale en buitenlandse studenten aan. Voor hen is de digitale dienstverlening van de instelling tijdelijk beperkter.

Tot organisaties in Zweden, Nederland, Finland en Denemarken de patches van CERT-SE en CERT-EU hebben doorgevoerd, houden beide diensten hun advies aan. Dat advies is: haal een onbeveiligde, internet-gerichte PHP-dienst uit voorzorg offline.